Quelltext der Seite Grundsätzliches zum Thema Netzwerksicherheit

Dieser Artikel soll Anfängerfragen zur Netzwerksicherheit beantworten. Die entsprechende Forumsdiskussion findet man [http://www.synology-forum.de/showthread.html?t=4442 hier].

Interessante externe Links befinden sich in diesem Artikel ganz unten unter [[Grunds%C3%A4tzliches_zum_Thema_Netzwerksicherheit#Weblinks|Weblinks]].

==Warum Netzwerksicherheit==
Sobald man einen NAS-Dienst (Server) im Netz hat, kann ihn quasi jeder sehen - auch wenn ihn sonst niemand kennt.
Dafür werden sogenannte Portscanner verwendet. Die schauen (oft automatisiert) welche IP-Adressen "aktiv" sind und prüfen dann, welche Dienste darauf zu erreichen sind und unter Umständen wird versucht diese auszuhebeln.
Ob ein Angriff von außen stattgefunden sein könnte kann man in der Logdatei der Synology-Box sehen.

Beispiel:
<pre>Warning (Datum/Uhrzeit] User FTP client [User] from [64.28.200.xxx] failed to log in the server.</pre>

==Konfigurationsempfehlungen==
===Router===
Am Router sollte ein Passwort gesetzt sein, aber nicht das Standardpasswort (admin/admin).

===Firewall===
Um die NAS-Box sicher im LAN/WAN zu betreiben ist ein Router mit Firewall wichtig. Viele Standard-Modemrouter (Fritz-Box, Thomson) bieten einfache Firewall-Lösungen die über die Routermaske aktiv gesetzt werden müssen.
Den Router sollte man so einstellen, dass man ihn nur von lokalen Netz aus administrieren kann.
PC und Laptop im lokalen Netz mit Firewall und Virenscanner betreiben.

=== Portforwarding ===
[[Bild:Portforwarding_router.jpg|right|frame|Beispiel für Port Forwarding]]
* Um nur die notwendigen Ports für die verschiedenen Dienste der DS/CS zu öffnen, empfiehlt es sich einen Blick auf die [[Port-Tabelle]] zu werfen, damit unliebsamen Gästen keine unnötigen Tore zum NAS offen stehen. 
* Unverschlüsselte Ports wie Port 80 oder 5000 ermöglichen das abhören des Logins und sollten für kritische Dienste geschlossen bleiben.
* Hinweis: Bei jedem Router sieht die Port-Maske etwas anders aus

===IDS===
Durch "Denial of Service" (DoS-Attacke) wird das Zielsystem sehr stark durch Zugriffe von außen bombardiert, wodurch das System abstürzen kann und somit die Sicherheit und Produktivität gestört wird. Ein Schutz gegen diese diese Angriffsart ist ein [http://de.wikipedia.org/wiki/Intrusion_Detection_System IDS System] (Erkennen von Eindringlingen) in Kombination mit Firewall und Sicherheits-Backup der Daten.
Manche Router unterstützen auch IDS welches auch aktiv gesetzt sein sollte.
<br>
Beispiele für Attacken aus dem Netz:
<br>
[[Bild:Ids_Router.jpg|600px]]

===Passwort===
Benutze IMMER ein [http://de.wikipedia.org/wiki/Kennwort starkes Passwort] (nicht nur für die Synology Station, auch Router usw.). Wörter aus dem Wörterbuch, Namen, etc. sind absolutes Tabu, ebenso personenbezogene Angaben, wie Geburtstag, Wohnort, Geburtsort, Straße usw.
<br>
Passwörter regelmäßig wechseln. Das selbe Passwort bei mehreren Diensten (wie E-Mail, sozialen Netzwerken, Shops usw.) zu verwenden, sollte vermieden werden.

===Benutzer und Rechte===
Über den Disk Station Manager lassen sich Benutzer und Freigaben einrichten.
Es empfiehlt sich, die Zugänge nicht wahllos wie Zuckerl zu verteilen. Benutzer sollten immer nur so viele Rechte haben wie sie auch wirklich brauchen!
Schreibrechte im Zweifelsfall deaktivieren.
<br>
Der Administrator "admin" sollte nur zur Verwaltung verwendet werden (Hinweis: Aktuell mit Audio Station nicht möglich).
<br>
<br>
Screenshot des Disk Station Managers:
<br>
[[Bild:Setzen_privilegien.jpg|1024px]]

===Automatische IP-Blockierung===
Über Firmware-Aktualisierungen wurde auch eine automatische IP-Blockierung z.B. für den FTP-Dienst, SSH, Telnet oder Webinterface auf den Synology-Boxen eingeführt. Diese ist wirksam gegen Bruteforce-Attacken aus dem Web und sperrt die IP des Angreifers automatisch nach z.B. 5 fehlgeschlagenen Login-Versuchen innerhalb von 5 Minuten. Auf Wunsch kann die Blockierung nach gewissen Tagen automatisch aufgehoben werden und eine E-Mail-Benachrichtigung aktiviert werden.

===Webserver und Sicherheit===
Die Themen Webserver und Sicherheit werden bereits an andere Stelle im Wiki ausführlich behandelt:
*[[Zugriffsschutz für Webseiten einrichten]]
*[[DSM Zugriff auf IP-Ebene beschränken]]
*[[3rd Party Applications absichern]]

===https-Verbindung beim "Disk Station Manager"===
Die Synology-Weboberfläche "Disk Station Manager" ist normalerweiser über eine unverschlüsselte Verbindung (http://NAS-IP:5000) erreichbar.
Zusätzliche Sicherheit wird durch "HTTPS-Verbindung aktivieren" im Menü "Webdienste" erreicht.
Somit ist die Administrationsoberfläche über https://NAS-IP:5001 erreichbar. Für den Zugriff über Internet sollte (wenn überhaupt) nur die gesicherte Verbindung über HTTPS Port 5001 genutzt werden. Der Port 5000 sollte nicht im Router weitergeleitet werden und vom Internet aus nicht erreichbar sein.

===Fernwartung===
Dienste wie Telnet oder rlogin ermöglichen eine Fernverbindung zum eigenen Server, doch leider wird damit das Passwort im Klartext übertragen. Es könnte also von einem Dritten gesnifft werden. Mit einem SSH-2 Client werden die Anmeldepasswörter sicher und nicht im Klartext übertragen. Ein populärer SSH-Client für Windows ist z.B. [http://www.putty.org Putty]. Linux und Mac OS X haben bereits einen Client integriert. Einfach in der Konsole/Terminal "ssh benutzername@ip" eingeben. Der Telnet-Port (Port 23) sollte nicht im Router an die Synology Station weitergeleitet werden! Bitte vom Internet her immer nur den SSH-Port (Port 22) benutzen. Das Aktivieren des SSH-Dienstes erfolgt im Disk Station Manager auf der Seite "Terminal".

===Verschlüsseln der sensiblen Daten mit einem Truecrypt-Container===
Sollte ein ungebetener Gast trotzdem Zugang zu den Daten am NAS erhalten, ist es ratsam wichtige Daten verschlüsselt oder am besten gar nicht auf der NAS-Platte abzulegen.
Zum Verschlüsseln eignen sich verschlüsselte Container z.B. mit [http://www.truecrypt.org/ Truecrypt].
Nachteile:
* Ein verschlüsselter Container kann nie mehr entschlüsselt werden, wenn ein Fehler in der Containerdatei ist oder das Passwort vergessen wurde.
* Verschlüsselte Partitionen sind auf NAS-Boxen zur Zeit nicht möglich.
'''Daher: Verschlüsselte Daten unbedingt nochmal als Backup vorhalten (was natürlich auch verschlüsselt sein kann).'''

===Sichere Verbindungen aktivieren===
Benutze bei einer Verbindung von außerhalb des lokalen Netzwerks immer den sicheren Kanal:
Im Disk Station Manager:
<br>
'''Web''' => HTTPS-Verbindung aktivieren - Hinweis: Lediglich der verschlüsselte Port 5001 sollte (wenn überhaupt) im Router auf die interne IP der Synology Station weitergeleitet werden.
<br>
'''Web''' => automatisch zu einem sicheren Kanal umleiten - Diese Einstellung ist eigentlich nicht zwingend notwendig. Wird der Port 5000 nicht am Router auf die DS umgeleitet, so kann man von außen nicht auf diesen Port zugreifen. Im lokalen Netz kann dann weiterhin mit der schnelleren unverschlüsselten HTTP-Verbindung über Port 5000 gearbeitet werden.
<br>
[[Bild:Aktivieren https.jpg|1024px]]
<br>
<br>
'''FTP''' => Nur SSL/TLS-Verbindung erlauben.
<br>
[[Bild:Aktivieren ftpes.jpg|1024px]]
<br>
Das FTP-Protokoll basiert auf dem TCP-Protokoll und arbeitet nach dem Client-Server-Prinzip. Dabei werden 2 Verbindungen aufgebaut, der Steuerkanal (Port 21) und im Anschluss der Datenkanal (Port 20 bei aktiv FTP, ein Port aus dem passiven Bereich für passiv FTP). 

<span style="color:#ff0000;"> FTP läuft normalerweise komplett unverschlüsselt ab (User & Passwort im Klartext) und ist anfällig für Lauschangriffe!</span>

Sichere Alternativen bieten die nachstehend aufgeführten Übertragungsarten:

* '''FTPES (FTP über explizites SSL/TLS)''' -> wird von den Synology Stations standardmäßig unterstützt. Die Kommunikation erfolgt über den normalen FTP-Port.
* '''SFTP (FTP über SSH)''' -> wird standardmäßig von den Synology Stations nicht unterstützt, SFTP kann aber über IPKG nachinstalliert werden -> [[SFTP_SCP|SFTP SCP]]
* '''FTPS (FTP über implizites SSL/TLS)''' -> es wird ein spezieller Port für die verschlüsselte Übertragung benutzt, die Verbindung über diesen Port ist automatisch verschlüsselt. Die Synology Station können das mit dem Standard FTP-Server nicht. Möglicherweise beherrscht ein alternativer FTP-Server über IPKG diese Kommunikationsform, allerdings kann dann die Rechteverwaltung in der DS nicht mehr dazu verwendet werden.

Anonymous FTP lässt Datenzugriff ohne sichere Passworteingabe auf entsprechend freigegebene Ordner zu. Kann zur Sicherheit deaktiviert werden, wenn es nicht gebraucht wird.

Gegebenenfalls kann auch der Standard-Port 21 auf einen anderen gelegt werden um das Verbinden von unberechtigten Clients zu erschweren. Bei berechtigten Clients muss dann in dem FTP Programm die Änderung auch vorgenommen werden.

===SSH Port auf einen anderen legen===
Der SSH Port kann leider nicht im DSM auf einen anderen gelegt werden. Abhilfe schafft das Ändern unter 
'''/etc/ssh/sshd_config''':<br>
Einfach Zeile 14 auskommentieren und beispielsweise '''Port 650''' reinschreiben.
<p>
Nun verbindet man sich unter Linux und Mac OS X mit:
'''ssh root@ip-adresse -p650'''<br>
Unter Putty kann der Port auch angegeben werden.

==Hinweis==
Ein Restrisiko bleibt immer. Deshalb auch hier nochmal der Ratschlag: eine am öffentlichen Netz hängende Box sollte keinesfalls Daten enthalten, die man nicht auch auf eine Postkarte schreibt, ansonsten müssen sie verschlüsselt werden oder am besten gar nicht erst drauf. Ein Hacker mit Know-How und Absicht wird immer Wege finden um auf eine Box zu kommen. Wer zusätzliche Sicherheit benötigt wird weitere Sicherheitsmaßnahmen setzen müssen. Weiterhin sollte man unbedingt über ein zeitlich und räumlich getrenntes Backup der Daten verfügen. Der alleinige Einsatz eines Raid-Systems ist nicht ausreichend!<br>
<span style="color:#ff0000;"> Ein Raid-System ist kein Backup! </span>
<br>
Wenn man 'Großes' vor hat, dann wären drei Disk-Stations eigentlich der richtige Ansatz: eine DS für die interne Datenhaltung ohne Zugang zum Web; eine DS als Web-Server in der DMZ des Routers; eine als Backup-Server für alle Daten. Das mag im ersten Moment etwas überraschen, aber so würde man auch in einer professionellen Server-Welt arbeiten. Vielleicht muss man dort nicht unbedingt in Hardware-Kategorien denken, aber virtuelle Systeme müssten es schon sein. Da das mit den virtuellen Systemen bei der DS (noch) nicht geht (in 2-3 Jahren reden wir wieder darüber), müsste man das solange mit der doch recht preiswerten DS-Hardware gut hinbekommen.

==Weblinks==
Wie erreicht man ein Extra an Sicherheit für den Synology NAS: [https://www.synology.com/de-de/knowledgebase/tutorials/615]